| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-87777 | MEDIUM | 6.8 | WordPress |
Hostinger Reach WordPress 플러그인 1.8.3 미만 버전에서 위젯 설정에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 편집기 미리보기 화면에 임의의 웹 스크립트를 삽입할 수 있으며, 관리자 등 상위 권한 사용자가 해당 콘텐츠를 열 때 스크립트가 실행됩니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-85415 | MEDIUM | 6.8 | WordPress |
Audio Player Block WordPress 플러그인 1.6.3 미만 버전에서 사용자 제공 URL의 스킴을 검증하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 악성 자바스크립트를 삽입할 수 있으며, 관리자나 편집자가 해당 링크를 클릭할 경우 세션 내에서 스크립트가 실행됩니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-85001 | MEDIUM | 6.8 | WordPress |
EmbedPress WordPress 플러그인 4.6.7 미만 버전에서 Elementor 위젯 설정 중 하나를 적절히 정제하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 HTML 속성에 임의의 웹 스크립트를 삽입하여 실행할 수 있습니다.
|
2026-09-30 | 2026-09-30 16:28 |
| CVE-2026-18747 | MEDIUM | 6.8 | Cloud Management Console |
MCUmgr SMP-over-console 전송 계층에서 패킷 길이를 처리할 때 정수 언더플로우가 발생하여 버퍼 크기를 초과하는 메모리 접근이 가능해지는 취약점입니다. 공격자는 조작된 Base64 프레임을 전송하여 메모리 외부의 데이터를 읽거나 시스템을 중단시키는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
|
2026-09-29 | 2026-09-30 14:17 |
| CVE-2026-93000 | MEDIUM | 6.8 | WordPress |
SPS-Suite WordPress 플러그인 1.4.0 이하 버전에서 정적 페이지 검색 기능이 활성화된 경우, 검색 쿼리를 적절히 검증하지 않아 SQL 인젝션 공격이 발생할 수 있습니다. 인증되지 않은 공격자가 이를 악용하여 데이터베이스를 조작할 수 있는 취약점입니다.
|
2026-09-28 | 2026-09-28 16:38 |
| CVE-2026-97319 | MEDIUM | 6.8 | WordPress |
Blubrry WordPress 플러그인의 PowerPress Podcasting 버전 11.17.2 미만에서 블록 속성에 대한 적절한 검증 및 이스케이프 처리가 이루어지지 않습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-96899 | MEDIUM | 6.8 | WordPress |
Optima Express IDX WordPress 플러그인 8.7.6 미만 버전에서 REST 엔드포인트를 통해 제출된 스크립트 값이 적절히 중화되지 않는 취약점이 발견되었습니다. 이로 인해 작성자(Author) 권한을 가진 사용자가 게시물을 렌더링할 때 문서 헤드에 악성 스크립트를 삽입하는 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-96895 | MEDIUM | 6.8 | WordPress |
WP YouTube Lyte WordPress 플러그인 1.7.31 이전 버전에서 YouTube 임베드 블록의 일부 속성을 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 15:17 |
| CVE-2026-89006 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.27 미만 버전에서 발생하는 취약점입니다. 기여(Contributor) 권한 이상의 사용자가 가져온 피드 콘텐츠를 적절히 검증하지 않고 게시물 내용으로 저장하여 저장형 XSS 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-85002 | MEDIUM | 6.8 | WordPress |
EmbedPress WordPress 플러그인 4.6.7 미만 버전에서 블록 속성 중 하나를 HTML 속성 내에 출력하기 전에 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 게시물을 확인하는 상위 권한 사용자에게 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-27 | 2026-09-28 16:38 |
| CVE-2026-100858 | MEDIUM | 6.8 | Storage Protect Client |
heym 0.0.109 미만 버전의 Slack, Discord, Crawler 워크플로우 노드에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 사용자가 생성한 자격 증명의 URL 검증이 미흡하여, 공격자가 내부 네트워크나 클라우드 메타데이터 엔드포인트에 접근하고 응답 본문을 탈취할 수 있습니다.
|
2026-09-27 | 2026-09-30 16:17 |
| CVE-2026-96531 | MEDIUM | 6.8 | WordPress |
Optimole WordPress 플러그인 4.2.13 미만 버전에서 비디오 플레이어 블록의 인식되지 않는 속성을 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 작성자(Author) 이상의 권한을 가진 사용자가 이벤트 핸들러 속성을 저장하여 관리자를 포함한 게시물 조회자의 브라우저에서 스크립트를 실행할 수 있습니다.
|
2026-09-26 | 2026-09-28 15:17 |
| CVE-2026-92411 | MEDIUM | 6.8 | WordPress |
WP Delicious WordPress 플러그인 1.10.8 미만 버전에서 사용자 제공 레시피 블록 데이터의 HTML 태그 이름을 검증하거나 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 이상의 권한을 가진 사용자가 스크립트 태그를 포함한 임의의 HTML 태그를 삽입할 수 있으며, 레시피 페이지를 조회할 때 해당 스크립트가 실행됩니다.
|
2026-09-26 | 2026-09-28 16:38 |
| CVE-2026-89237 | MEDIUM | 6.8 | WordPress |
Bluff Post WordPress 플러그인 1.1.1 버전 이하에서 SQL 쿼리의 식별자로 사용되는 파라미터를 적절히 검증하거나 이스케이프 처리하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 SQL 구문을 추가하여 데이터베이스 내의 민감한 정보를 추출할 수 있습니다.
|
2026-09-26 | 2026-09-28 16:38 |
| CVE-2026-97846 | MEDIUM | 6.8 | Storage Protect Client |
Keycloak의 mTLS holder-of-key 바인딩 기능에서 보안 결함이 발견되었습니다. 새로운 Standard Token Exchange V2 기능이 클라이언트 인증서를 제대로 검증하지 않아, 탈취된 클라이언트 자격 증명을 가진 공격자가 보안 보호를 우회하여 제한 없는 표준 토큰을 획득할 수 있습니다.
|
2026-09-25 | 2026-09-25 14:17 |
| CVE-2026-57176 | MEDIUM | 6.8 | Python |
Python Social Auth의 Vend OAuth2 백엔드에서 발생하는 취약점으로, 5.0.0 미만 버전은 Vend의 숫자형 user_id만을 고유 식별자로 사용합니다. 이로 인해 여러 Vend 상점이 동일한 애플리케이션을 사용할 경우, 서로 다른 상점의 사용자가 동일한 ID를 가질 때 계정 충돌이 발생하여 타인의 계정으로 인증될 수 있습니다.
|
2026-09-24 | 2026-09-29 03:17 |
| CVE-2026-94416 | MEDIUM | 6.8 | Microsoft Entra Provisioning Service |
Ansible Automation Platform(AAP) 게이트웨이에서 권한 우회 취약점이 발견되었습니다. 인증된 관리자가 임의의 서비스 키를 생성하여 Controller 서비스를 사칭하는 토큰을 위조할 수 있으며, OIDC 워크로드 ID 기능이 활성화된 경우 HashiCorp Vault와 같은 외부 리소스에서 권한 밖의 비밀 정보를 탈취할 수 있습니다.
|
2026-09-24 | 2026-10-21 20:17 |
| CVE-2026-89005 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.26 미만 버전에서 캠페인 설정 필드에 대한 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 기여자(Contributor) 이상의 권한을 가진 사용자가 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있으며, 관리자 등 상위 권한 사용자가 해당 캠페인을 조회할 때 스크립트가 실행됩니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-89002 | MEDIUM | 6.8 | WordPress |
WPeMatico RSS Feed Fetcher WordPress 플러그인 2.8.26 이전 버전에서 사용자 제공 소스로부터 가져온 콘텐츠를 렌더링하기 전에 적절히 검증하거나 이스케이프하지 않는 취약점이 존재합니다. 이로 인해 기여자(Contributor)와 같은 권한을 가진 사용자가 캠페인을 검토하는 상위 권한 사용자에게 저장형 교차 사이트 스크립팅(Stored XSS) 공격을 수행할 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-80338 | MEDIUM | 6.8 | WordPress |
2.13.0 미만 버전의 CMB2 WordPress 플러그인은 특정 AJAX 작업에 대한 권한 확인을 수행하지 않습니다. 이로 인해 구독자(Subscriber) 권한을 가진 사용자도 임의의 WordPress 옵션을 생성하거나 기존 설정을 손상시켜 사이트 운영을 중단시킬 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-74991 | MEDIUM | 6.8 | WordPress |
WPForms WordPress 플러그인 2.0.2 미만 버전에서 결제 객체 검증 미흡 취약점이 발견되었습니다. 인증되지 않은 사용자가 타인의 Stripe 결제 정보를 이용해 환불을 요청하거나 구독을 즉시 취소할 수 있습니다.
|
2026-09-24 | 2026-09-24 14:42 |
| CVE-2026-96445 | MEDIUM | 6.8 | IBM Security Verify Access |
Keycloak의 조건부 OTP 인증기에서 특정 HTTP 헤더의 신뢰성을 검증하지 못하는 결함이 발견되었습니다. 공격자가 사용자의 비밀번호를 알고 있는 경우, 조작된 HTTP 헤더를 전송하여 2단계 인증(OTP) 과정을 우회할 수 있습니다.
|
2026-09-23 | 2026-09-24 14:51 |
| CVE-2026-91073 | MEDIUM | 6.8 | WordPress |
Subscribe Forms WordPress 플러그인 1.6.3 미만 버전에서 폼 설정값이 적절히 정제되지 않아 발생하는 저장형 XSS 취약점입니다. 작성자(Author) 권한 이상의 인증된 사용자가 악성 스크립트를 삽입할 수 있으며, 해당 폼이 포함된 페이지를 방문하는 모든 사용자(관리자 포함)의 브라우저에서 스크립트가 실행됩니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-91024 | MEDIUM | 6.8 | WordPress |
Booking Manager WordPress 플러그인 2.1.21 미만 버전에서 외부 iCalendar 피드 데이터를 적절히 검증하지 않아 SQL 인젝션 취약점이 발생합니다. 이를 통해 작성자(Author) 권한 이상의 인증된 사용자가 조작된 피드를 가져옴으로써 데이터베이스를 공격할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-88997 | MEDIUM | 6.8 | WordPress |
JSM Show Post Metadata WordPress 플러그인 4.9.1 미만 버전에서 포스트 메타 키를 적절히 이스케이프하지 않아 발생하는 취약점입니다. 기여자(Contributor) 이상의 권한을 가진 사용자가 관리자용 메타 박스의 인라인 이벤트 핸들러 속성에 임의의 자바스크립트를 삽입할 수 있으며, 이를 통해 상위 권한 사용자의 세션에서 악성 코드가 실행될 수 있습니다.
|
2026-09-23 | 2026-09-23 18:12 |
| CVE-2026-86842 | MEDIUM | 6.8 | WordPress |
Real3D Flipbook WordPress 플러그인 5.4 미만 버전에서 권한 확인 미흡으로 인해 발생합니다. 작성자(Author) 이상의 권한을 가진 사용자가 다른 사용자의 콘텐츠를 삭제하거나 관리자 전용 설정을 덮어쓸 수 있으며, 이를 통해 악성 자바스크립트를 삽입하여 방문자나 관리자에게 실행시킬 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2026-85006 | MEDIUM | 6.8 | WordPress |
HappyAddons for Elementor WordPress 플러그인 3.50.0 미만 버전에서 아이콘 값이 HTML 속성 내에 출력될 때 적절히 이스케이프되지 않는 취약점이 발견되었습니다. 이를 통해 기여자(Contributor) 권한 이상의 사용자가 이벤트 핸들러 속성을 주입하여 페이지를 보는 모든 사용자의 브라우저에서 자바스크립트를 실행할 수 있습니다.
|
2026-09-23 | 2026-09-23 18:13 |
| CVE-2025-15696 | MEDIUM | 6.8 | WordPress |
Real3D Flipbook WordPress 플러그인 5.4 미만 버전에서 관리자 편집기 필드에 대한 데이터 검증 및 이스케이프 처리가 누락되었습니다. 이로 인해 작성자(Author) 이상의 권한을 가진 사용자가 악성 웹 스크립트를 삽입할 수 있으며, 관리자를 포함한 다른 사용자가 해당 플립북을 편집할 때 스크립트가 실행됩니다.
|
2026-09-23 | 2026-10-14 19:10 |
| CVE-2026-95503 | MEDIUM | 6.8 | IBM Security Verify Access |
오픈소스 ID 및 액세스 관리 솔루션인 Keycloak의 Kerberos 연합 제공업체에서 결함이 발견되었습니다. SPNEGO 없이 Kerberos 비밀번호 인증을 사용할 경우 시스템이 서버 티켓을 요청하여 KDC의 신원을 검증하지 못합니다. 이로 인해 동일 네트워크상의 공격자가 KDC를 사칭하여 인증 과정을 우회하고 사용자 계정에 무단 접근할 수 있습니다.
|
2026-09-22 | 2026-09-22 19:37 |
| CVE-2026-88788 | MEDIUM | 6.8 | IBM Security Verify Access |
Text Styler WordPress 플러그인 1.1.1 버전 이하에서 사용자 입력 스타일 값이 적절히 필터링되지 않아 발생하는 취약점입니다. 기여자(Contributor) 권한 이상의 사용자가 악성 자바스크립트를 삽입할 수 있으며, 해당 게시물을 보는 관리자를 포함한 모든 사용자의 브라우저에서 코드가 실행될 수 있습니다.
|
2026-09-22 | 2026-09-22 19:41 |